面向Salesforce Commerce Cloud安全的F5 Distributed Cloud Bot Defense

如今，创建和部署电子商务网站比以往更加容易。但与此同时，电子商务网站也更容易成为网络犯罪分子的目标，面临不断变化的各种威胁，其中大多数是机器人攻击。好消息是，F5 Distributed Cloud Bot Defense作为广受各类零售商采用的行业先进解决方案，现已在Salesforce Commerce Cloud LINK Marketplace上架。

美国联邦贸易委员会（FTC）的数据显示，该机构在2020年收到消费者提交的超过210万份欺诈举报。在这些举报中，冒充他人诈骗是最常见的欺诈类型，其次是网络购物欺诈。消费者报告的损失总额超过33亿美元，高于2019年的18亿美元。2020年的损失中，近12亿美元源于冒充他人诈骗，网络购物欺诈造成的损失约为2.46亿美元。而这些还只是向FTC举报的案例。

除了保护客户，电子商务运营商还需要保护自身，防范账户接管（ATO）、知识产权盗窃、敏感数据泄露、结账流程滥用等日益增多的威胁。

Salesforce Commerce Cloud (SFCC)

在帮助各种规模的企业开展B2C和B2B商务方面， Salesforce Commerce Cloud (SFCC）通过一个基于云的平台，帮助数千家企业与客户进行交易。该平台“助力品牌在移动端、社交平台、网站和门店等所有渠道打造智能、统一的购买体验”。

据SFCC报告，其平台每年处理的商品交易总额达210亿美元，每月支持超过5亿次购物者网站访问。无论企业规模大小，都会产生这些活动；无论零售商规模如何，面向Salesforce Commerce Cloud的Distributed Cloud Bot Defense都能提供机器人防护解决方案，为全球大型零售商、银行和航空公司提供保护。

用于在Salesforce Commerce Cloud上防范恶意机器人的Distributed Cloud Bot Defense

无论企业的电子商务渠道部署在哪个平台上，每日登录尝试中有90%甚至更多来自非人类访问者的情况并不少见，也就是机器人流量。在机器人攻击流量中，这些机器人只会反复轮番尝试网络上已有的数以百万计的失窃和泄露凭据，不断向电子商务平台提交用户名和密码组合，企图让其中哪怕极少一部分通过验证。

电商网站每天的登录尝试中，90%或更多来自非人类访问者，这种情况并不少见。

这一过程称为凭据填充，可能造成高昂成本。所有这些自动登录尝试都会持续消耗带宽和应用资源。如果其中一个机器人使用被盗凭据成功登录并导致账户接管（ATO），情况可能会进一步恶化。

F5提供一项创新服务，可识别各种由机器人驱动的有害网络流量，并在其消耗资源（或造成更严重后果）之前将其阻止。Distributed Cloud Bot Defense非常适合保护电子商务平台，因为它可以通过F5专为SFCC提供的认证插件，快速、轻松地集成到Salesforce Commerce Cloud（SFCC）中。

Distributed Cloud Bot Defense 可保护Web应用、移动应用和API端点，使其免受可能导致大规模欺诈的复杂攻击。它会实时判断应用请求是否来自欺诈源，然后执行企业指定的操作，例如阻止、重定向请求或为请求添加标记。

Distributed Cloud Bot Defense凭借机器学习技术以及多年为全球大型企业提供防护的经验，在行业中脱颖而出。这意味着，它已从无数次攻击尝试中收集了大量高度详尽的数据。基于这些经验，Distributed Cloud Bot Defense不仅能够识别特定请求来自机器人还是人类，还能判断请求的意图是恶意还是善意，在这些方面具备深厚的专业能力。

部署

Distributed Cloud Bot Defense部署分为两个阶段：观察和缓解。在观察阶段，Distributed Cloud Bot Defense会收集高级遥测数据，为防御引擎提供信息并对其进行训练，以检测攻击。这些信号通过Web应用程序中的JavaScript和原生移动应用程序中的SDK进行收集。

Distributed Cloud Bot Defense引擎是任何Distributed Cloud Bot Defense部署中的决策组件，也是整个缓解阶段的关键。它可以检测并缓解针对电子商务平台的自动化交易。为阻止欺诈请求，该引擎会处理数百种信号，以检测应用、网络、浏览器和用户层面的自动化行为。

图1：Distributed Cloud Bot Defense提供基于API的电子商务安全防护，帮助保护Salesforce Commerce Cloud平台上的零售网站。

Distributed Cloud Bot Defense由AI和机器学习提供支持，可分析所有事务并仔细审查每次攻击活动，从而主动识别未来的攻击企图。当攻击活动试图通过某种方式调整工具（通常是更新软件或使用新的代理）来绕过F5时，Distributed Cloud Bot Defense仍能根据数百种其他信号识别该攻击活动。更重要的是，一旦在某个客户处发现新的攻击技术，系统就会自动部署新的应对措施并共享相关详情，让所有其他F5客户也能立即获得相应防护。

Distributed Cloud Bot Defense通过SFCC认证的插件以托管服务形式提供，为各种规模的零售商带来业界先进的机器人管理与防护能力。

Distributed Cloud Bot Defense可即时运行，且不会干扰用户。平台一旦实时判定某个应用请求来自欺诈源，便会立即阻止该来源，同时不会给合法的人类用户带来无效阻碍（例如要求进行多重身份验证、完成CAPTCHA等）。Distributed Cloud Bot Defense通过F5认证的插件包在SFCC上以托管服务形式提供，为各种规模的零售商带来业界先进的机器人程序管理和防护能力。

总结：F5 Distributed Cloud Bot Defense是Salesforce Commerce Cloud应用所需的解决方案

电子商务欺诈是一项切实存在且日益严重的威胁，B2C和B2B运营商需要保护客户免受其害，但相关保护措施不得对用户体验造成负面影响，否则可能会失去这些客户。Salesforce Commerce Cloud（SFCC）可帮助部署和运营端到端电子商务体验，而F5 Distributed Cloud Bot Defense则可在后台运行，大幅减少自动化欺诈性机器人攻击流量带来的风险，并通过消除用户体验中的阻碍，帮助保障电子商务相关服务的安全。

如需了解有关Distributed Cloud Bot Defense的更多信息，请访问f5.com，并从SFCC Marketplace下载套件。

了解详情

技术联盟：面向Salesforce Commerce Cloud的F5 Distributed Cloud Bot Defense
https://www.f5.com/partners/technology-alliances/salesforce-commerce-cloud

白板课程：面向Salesforce Commerce Cloud的F5 Distributed Cloud Bot Defense
https://youtu.be/YZPdUSuUvko

DevCentral 文章：

案例研究：零售商应对抢鞋机器人流量激增，解决欺诈、体验阻碍和虚假流量问题：
https://www.f5.com/customer-stories/retailer-solves-shoe-bot-spikes-fixes-fraud-friction-and-fake

无摩擦防欺诈：如何检测并抵御现代网络攻击：
https://www.f5.com/resources/library/security/ecommerce

F5 Distributed Cloud Bot Defense解决方案概述：
https://www.f5.com/pdf/solution-overview/f5-distributed-cloud-bot-defense-overview.pdf

挑战

电子商务网站持续面临网络攻击
欺诈形式多样，包括账户接管（ATO）、凭据填充攻击、结账滥用、网页抓取、库存占用等
对网络犯罪分子而言，电子商务目标可能有利可图；据预测，仅支付欺诈每年造成的损失就将超过200 亿美元annually
攻击者通常会跨所有渠道（Web和移动端）发起攻击；可靠的安全解决方案也必须覆盖所有渠道

优势

大幅减少欺诈和滥用
防止声誉受损
消除用户体验中的阻碍
提升应用性能和正常运行时间
增强安全性

电商网站：需要重点保护的三个关键领域

适用于Salesforce Commerce Cloud（SFCC）的F5 cartridge是一款集成模块，用于连接SFCC Platform与Distributed Cloud Bot Defense。该模块会将选定的遥测数据发送至Distributed Cloud Bot Defense，接收推理响应并采取缓解措施。该解决方案及其优势旨在保护电子商务网站免受多种攻击，包括：

账户接管：阻止欺诈者使用数百万条被盗凭据对登录应用进行高频快速测试，在其接管客户账户之前消除欺诈流量。
结账滥用：也称为库存拒绝。机器人攻击可能会以在线结账环节为目标，将多件商品加入购物车，耗尽可售库存，企图为其他零售商创造优势，同时也给正常客户带来困扰。
网页抓取：产品信息和定价往往是竞争优势的来源。控制自动抓取工具和聚合器从网站采集数据的方式，以保护敏感数据。

Distributed Cloud Bot Defense可防范以下恶意手段，以及由开放式Web应用程序安全项目®（OWASP）识别的其他恶意手段。该非营利基金会致力于提升软件安全性。